curl 8.21.0

24. junija, po skoraj dveh mesecih razvoja, 531 spremembi in popravilu 276 napak, je izšla različica 8.21.0 (št. 275) cross-platform vsestranskega konzolnega orodja in knjižnice curl, napisani u jeziku C i distribuirani pod licencom curl.

Glavne promene

Sigurnost

• Srednja raven resnosti
  • CVE-2026-8925: dvojno sproščanje pomnilnika SASL;
  • CVE-2026-8927: puščanje stanja overjanja Digest med strežniki proxy v env-set;
  • CVE-2026-9079: puščanje zastarelih gesel za strežnike proxy;
  • CVE-2026-11856: puščanje stanja overjanja Digest med domenami.
• Nizka raven resnosti
  • CVE-2026-8286: napačna ponovna uporaba povezave STARTTLS;
  • CVE-2026-8458: napačna ponovna uporaba za različne storitve;
  • CVE-2026-8924: ranljivost v algoritmu analize piškotkov s piko na koncu domene, ki je omogočala zlonamernemu HTTP strežniku, da postavi "super-piškotke", ki so obšli preverjanje po seznamu javnih končnic;
  • CVE-2026-8926: puščanje gesla pri uporabi netrc in navedbi uporabniškega imena v URL-ju;
  • CVE-2026-8932: nepopolno ujemanje konfiguracije mTLS pri ponovni uporabi povezave;
  • CVE-2026-9080: uporaba pomnilnika po sprostitvi po premoru v povratnem klicu vtičnice;
  • CVE-2026-9545: razkritje zgodnjih podatkov HTTP/3 (z možnostjo CURLSSLOPT_EARLYDATA);
  • CVE-2026-9546: pošiljanje starega napotitelja;
  • CVE-2026-9547: napačna preverba gostitelja pri uporabi SSH;
  • CVE-2026-10536: uporaba pomnilnika po sprostitvi drevesa odvisnosti HTTP/2;
  • CVE-2026-11352: cikel čakanja v QUIC z UDP datagrami ničelne dolžine;
  • CVE-2026-11564: ohranjanje zaupanja nativnemu skladišču certifikatov, tudi po preklopu na uporabniške certifikate;
  • CVE-2026-11586: izčrpavanje pomnilnika WS Auto-PONG;
  • CVE-2026-12064: proto-default je spregledal preverjanje SSH.

Druge spremembe

• izboljšave v imenovanih predlogah iskanja. Primeri:

curl "https://img.example/photo[1-1000].jpg" -o "local-#.jpeg"
curl "https://example.{org,com}/{